Magazine 01 februari 2009

Co-sourcing internal audit

Zeker in tijden van krapte op de arbeidsmarkt is het niet eenvoudig om de bezetting van internal auditafdelingen op niveau te houden. Co-sourcing - een samenwerking met een externe partij die flexibele ondersteuning levert - kan een goede oplossing zijn.

Dit artikel is verschenen in de Accountant nr. 2, 2009

Bekijk alle artikelen uit dit nummer

» Download dit artikel in pdf

Het gaat niet alleen om de kosten

Zeker in tijden van krapte op de arbeidsmarkt is het niet eenvoudig om de bezetting van internal auditafdelingen op niveau te houden. Co-sourcing - een samenwerking met een externe partij die flexibele ondersteuning levert - kan een goede oplossing zijn.

De vraag of co-sourcing van de internal audit zinvol is, heeft per definitie een genuanceerd antwoord. Want het hangt af van tal van factoren, zoals de omvang van de organisatie, de geografische spreiding, het van toepassing zijnde corporate governance-regime en de eisen ten aanzien van specialistische kennis.

Jefferson Wells - zelf als vooraanstaande partij in deze markt uiteraard niet geheel onbevooroordeeld ten opzichte van het thema - organiseerde onlangs een round table om de pro's en contra's van co-sourcing nog eens op tafel te krijgen en te zien hoe men deze in de praktijk ervaart. Een kleine peiling onder de kleine twintig aanwezige hoofden van internal auditafdelingen leverde een aardig inkijkje op in hun ervaringen. Iets meer dan de helft heeft regelmatig capaciteitstekort en nog eens 38 procent heeft daar soms mee te kampen. Het is dan ook niet verwonderlijk dat een overgrote meerderheid van 92 procent zegt wel eens auditcapaciteit te hebben ingehuurd, al gaat het daarbij in de meeste gevallen om minder dan vijf procent van de totale capaciteit.

De belangrijkste reden voor co-sourcing is dat men ‘handjes’ nodig heeft (genoemd door 42 procent). Andere motieven liggen op het vlak van een behoefte aan specialistische kennis, de wens tot flexibele inzet en de inzet op internationale locaties (genoemd door zeventien procent).

Hackers-test

De twee inleiders van deze middag bleken er verschillende visies op na te houden, die ook zeer verklaarbaar zijn vanuit de karakteristieken van hun eigen organisatie. Jacques Koenen, hoofd interne accountantsdienst CZ groep Zorgverzekeringen, toonde zich van zijn sceptische kant. Hij ziet de waarde van externe inzet vooral op het gebied van zeer specialistische audits: “Een voorbeeld daarvan is het inhuren van expertise voor een hackerstest: dat is kennis die binnen CZ niet op een economisch verantwoorde manier is te ontwikkelen, dus is het zinniger om die extern in te kopen. Een ander soort specialistische kennis pleit echter juist weer tegen de inzet van derden. Voor sommige audits - zoals het beoordelen van gedragsfactoren op basis van de Wet op het Financieel Toezicht - is een grote mate van inlevingsvermogen en kennis van de organisatorische cultuur, systemen en processen nodig. Voor een derde is dat vrijwel ondoenlijk.”

De vraag of co-sourcing nuttig is, moet volgens Koenen worden beantwoord aan de hand van een aantal criteria, die ook de basis vormen van de ethical code van het IFAC: integriteit, objectiviteit, deskundigheid, geheimhouding en professioneel gedrag. Ten aanzien van de objectiviteit kan een derde juist een voordeel bieden, bijvoorbeeld omdat hij/zij geen last kan hebben van bedrijfsblindheid. Ten aanzien van deskundigheid is er echter al snel sprake van een achterstand. En om die achterstand goed te maken moet weer veel tijd worden geïnvesteerd, zodat het niet rendabel is om externen erbij te halen.

SOx-controls

Gert-Jan Willig, director internal audit ASM International, verkeert in een compleet andere situatie dan Koenen. Belangrijke verschillen zijn de relatief geringe omvang van de internal auditafdeling bij ASM International, de eisen die Sarbanes-Oxley stelt ten aanzien van interne beheersing en risicomanagement en de geografische spreiding van de activiteiten over de hele wereld.

Stuk voor stuk zijn dit redenen waarom ASM International juist wel gebaat is bij de inzet van derden in de internal audit. Willig: “De internal auditfunctie is bij ons verantwoordelijk voor een quality review op de SOx-controls, en voor dat doel wordt gebruikgemaakt van externe professionals. In de toekomst zie ik ook op andere terreinen mogelijkheden, mits de functionele verantwoordelijkheid maar intern blijft.”

De flexibele inzet van derden draagt volgens Willig bij aan een flexibele kostenstructuur en maakt het bovendien mogelijk om in te spelen op couleur locale in onder meer China, Korea, Taiwan en Japan. De omvang van ASM International maakt het haast onmogelijk om dat zonder externe ondersteuning te doen.

Angelsaksisch

Robert Bogtstra, director internal audit & control bij Jefferson Wells wees op de verschillen tussen de Angelsaksische en Rijnlandse wereld in dit verband. “In het Angelsaksische besturingsmodel is co-sourcing van de internal audit al jaren zeer gebruikelijk. De interne controle wordt daar hoofdzakelijk in de lijn georganiseerd en er is sprake van relatief kleine auditdiensten die een groot beroep doen op ondersteuning door externe partijen. In het Rijnlandse model is dat veel minder gewoon en neigt men naar het intern opbouwen van audit capaciteit. Er is dan ook sprake van relatief grote auditdiensten.”

Het is best mogelijk dat daar in de toekomst verandering in gaat komen, al was het maar vanwege de ontwikkelingen op de arbeidsmarkt. Het is en blijft immers lastig om auditors met de juiste competenties en specialismen aan te trekken.

Bogtstra: “De head-count van veel internal auditfuncties is niet op niveau: een indicatie daarvan is dat uit onderzoek van Jefferson Wells in september 2008 blijkt dat een kwart van de grote organisaties in Nederland openbare vacatures heeft in deze afdelingen. Afgaande op de maatschappelijke en demografische ontwikkelingen op lange termijn zal het tekort aan competenties waarschijnlijk verder groeien: de vergrijzing slaat toe, evenals de hang naar meer zekerheid. Bovendien verbreedt het werkterrein van de internal auditfunctie zich: de lijst van aandachtsterreinen is lang en omvat tegenwoordig thema's die uiteenlopen van soft controls en duurzaamheid tot en met het evalueren van de risico-managementfunctie en het kijken naar risico's buiten de primaire operationele en financiële processen.”

Uurprijs versus efficiency

Koenen wijst er in dat verband ook op dat hij geen schaarste ervaart aan algemene auditcompetenties: goede auditors zijn de afgelopen jaren nog steeds te vinden. Wel ervaart hij een tekort op het juniorniveau van de werkzaamheden: bij de start van een carrière is het nog niet gebruikelijk om in dienst te treden bij een internal auditafdeling. Dat wordt op dat niveau niet gezien als ‘sexy’.

En dan nog een laatste aspect, dat zeker in tijden van recessie altijd bovendrijft: de kosten. Ook hier greep Koenen zijn rol als scepticus, door erop te wijzen dat de kostprijs van een auditor in vaste dienst aanmerkelijk lager is dan die van een externe. Bijna driekwart van de aanwezigen bleek het met hem eens te zijn. Tegelijkertijd benadrukten enkele aanwezigen dat het inhuren van derden weliswaar duurder is gemeten naar het uurtarief, maar dat deze inzet ook efficiency afdwingt. De organisatie maakt betere keuzes over welke audits noodzakelijk zijn en bovendien is er geen sprake van improductieve uren.

De kostenkant mag dan ook niet de discussie over het thema van outsourcing en/of co-sourcing gaan beheersen, zo was de heersende opinie. Belangrijker is het vinden van een goede oplossing.